Уязвимости безопасности при использовании UUID версии 4 в качестве параметра пути
Мы работаем над API REST, где одним из параметров пути является пользовательский uuid в версии 4. Может ли эта учетная запись предоставлять информацию через строки запроса в уязвимости URL, как описано на https://www.owasp.org/index.php/Information_exposure_through_query_strings_in_url?
В нескольких блогах я читал, что UUID версии 4 безопасны в отношении уязвимостей безопасности.
Может ли кто-то пролить свет на вышеуказанное понимание?
2 ответа
UUID версии 4 являются случайными. Они не содержат никакой информации о системе. Пока случайность взята из хорошего источника, они в безопасности.
Это зависит от семантики. Отправка произвольного uuid в URL-адрес совершенно нормально, почему бы и нет? Это просто набор случайных чисел.
Однако, если этот uuid является идентификатором сеанса, токеном csrf или чем-то, что чувствительно каким-либо образом, то это проблема. Не из-за uuid любые уязвимые данные в URL являются уязвимостью, поскольку URL-адреса кэшируются в браузере, регистрируются на прокси-серверах, самом сервере и так далее. Таким образом, вы не хотите отправлять в URL что-то ценное для атакующего - и криптографически случайный uuid звучит очень похоже на чувствительный, иначе зачем вам это?